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1 Estrutura do Documento 
Este documento inicia-se pela descrição das atividades realizadas e escopo do teste 
de intrusão. 


Posteriormente, existe a descrição das vulnerabilidades encontradas, bem como 


suas recomendações e níveis de criticidade e impacto para o ambiente. 
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2 Atividades Realizadas 


O serviço de consultoria de segurança proposto para este processo realizou testes 
de segurança no escopo definido pelo Xxxxx: 


189.xxx.xx.0/24 200.xxx.xxx.0/24 200.xxx.xxx.xxx/29 
200.xxx.xx.xxx/26 200.xxx.xxx.xxx/28 200.xxx.xxx.xxx/29 
URLs: 


XXXXXXXXXXXXXXXXXXXXX 


Iniciamos pela identificação de portas e serviços e então, tentamos identificar 


vulnerabilidades nesses serviços. 


Foram realizados diversos tipos de ataques com base nos serviços encontrados em 
cada endereço IP. Também foram realizados vários tipos de ataques contra as 
aplicações web encontradas, tentando explorar todas as classes de vulnerabilidades 
listadas no OWASP Top 10, que estão citadas abaixo: 


e Injection 
o SQL Injection 
o Command Injection 
o LDAP Injection 

e Cross-Site Scripting (XSS) 


e Broken Authentication and Session Management 


CONFIDENCIAL 


Teste de Intrusão Externo 


e Insecure Direct Object References 

e Cross-Site Request Forgery (CSRF) 

e Security Misconfiguration 

e Insecure Cryptographic Storage 

e Failure to Restrict URL Access 

e Insufficient Transport Layer Protection 


e Unvalidated Redirects and Forwards 


Realizamos diversos testes de forma completamente cega, ou seja, sem 
conhecimento do ambiente a ser testado, não houve fornecimento de credenciais de 
acesso aos sistemas da Xxxxx para realizamos testes nas partes internas das 
aplicações em ambiente de produção. 


O próximo item descreve as vulnerabilidades que foram encontradas, bem como a 
extensão do ataque obtida através dessas vulnerabilidades e medidas corretivas 


para as mesmas. 


Esse capítulo detalhará um pouco mais sobre os testes que foram realizados e os 
resultados obtidos. 


2.1 SQL Injection 


Descrição 
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A Injeção de SQL, mais conhecido através do termo americano SQL Injection, é um 
tipo de problema de segurança que se aproveita de falhas em sistemas que 
interagem com bases de dados via SQL. A injeção de SQL ocorre quando o 
atacante consegue inserir instruções SQL dentro de uma consulta (query) através da 


manipulação das entradas de dados de uma aplicação. 


Esse problema é causado exclusivamente pela ausência de validação de dados de 
entrada por parte do programador, que concatena os dados que são fornecidos 
através de uma fonte não confiável a uma chamada ao banco de dados, sem 


realizar nenhum tipo de validação. 


Durante nossos testes, encontramos problemas relacionados à SQL Injection em 


alguns servidores, e que serão demonstrados abaixo. 


2.1.1 Www.xxxxxxXx.com.br 


e hitps://www.xxxxxxxxx.com.br/Nhome.asp?email=testeDteste.com&momento 
=3&ParticipantelD=1 
o Script: Nhome.asp 


o Parâmetro Vulnerável: ParticipantelD 
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rootQwbt: /pentest/database/sqimap 
el nal Tabs Help 


(OR time-based blind 
osoft SQL Ser 


:10] 
:10] [INFO] testing Microsoft SQL Ser 
[INFO] confirming Microsoft SQL Server 


[WARNING] adjusting time delay to 4 seconds (due to good response times) 
[INFO] the back-end DBMS is Microsoft SQL Server 
r operating system: Windows Vista 
lication technology: ASP.NET, ASP, Microsoft IIS 7.0 
d DBMS: Microsoft SQL Server 2008 
:29] [INFO] fetching current database 
29] [INFO] retrieved: kmdevantagens 
nt database: kmdevantagens 





[23:04:10] [WARNING] HTTP) enfor codes detected during testing: 

500 (Ifiternal Server Error) - 296 fimes 

[21:04:10] [INFO]-Fetched data logged to text files under -*/pentest/datab output/wwv. 
Ekmdevantagens. com.br 


[*] shutting down at: 21:04:10 





Database: kndevantagens 


Abaixo informações obtidas através da vulnerabilidade: 


dbo.AnalisePeixaUrbano Ana Pedidos 
dbo.AnalisePeixaUrbano Ana PedidosPeixe 
dbo.AnaliseRejeicao 20110905 

1979 

db owner.tblAvaliacaoPoS 

db owner.tblProfile21052010 

db owner.tblProfile21052010 2 
dbo.AnaliseGeral Ana 
dbo.ArquivosTeste 

dbo.Basel Tarefa 9872 
dbo.Base2 Tarefa 98729872 
dbo.Base3 Tarefa 9872 
dbo.analisemoip 

dbo . BaseEmae 











ASP CATEGORIES 
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Campus pma designer coords 
CustomerCards qrtz job details 
ENQUIRY result 
ExtrinsicObject snipe gallery cat 
FACTSHEET sysconstraints 

FUND syssegments 
Language sysusers 

R2Size table 

StringTable tables 

ad locales tb admin 

audittrail tbhlRestrictedPasswords 
connexion tblRestrictedShows 
derived types triggers 

email typeFacture 

geo island user info 

jhu user list 

mountain user login 

mtb zip user logins 

pay melodies webapps 


Endereços email obtidos na tabela email: 


XKXXXRXXXXKXXXXXXXXH 


Endereços email obtidos na tabela analisePeixaUrbano Ana Pedidos: 














AtividadeCompID char 
Bairro varcha 
CarrinhoPedidoID int 
Cidade varchar 
CodigoExterno varchar 
Complemento varchar 
ConfirmCompraFacil bit 
CPF varchar 
Cracha int 
DataCredTAM smalldatetime 
DataPedido datetime 
DataSituacao datetime 
DDD varchar 
Endereco varchar 
Estado varchar 
flgErro bit 
idLoja int 
idPag int 
msgID bigint 


NomePedido varchar 
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Numero varchar 
ParticipantelID int 
PedidoID int 
PontoVendalID bigint 
Previsao datetime 
PrevisaoEntrega varchar 
ProdutoID int 
Quantidade int 
Ramal varchar 
SituacaoID Tt 
TamStatusld int 
Telefone varchar 


2.1.2 Www.xxxxxx.com.br (Possível SQL Injection) 


e http://www .xxxxxxx.com.br/esqueci.asp 


o Script: esqueci.asp 
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«av elis | 


py BackTrack Linux [offensive security KBExploit-DB fWaircrack-ng EISEORG.org ja 


Microsoft JET Database Engine error '80040e14 








Syntax error in string in query expression 'email= " and ativo=1". 


jesqueci.asp. line 1 


Impacto 


Através de uma exploração bem sucedida de SQL injection, um atacante tem acesso 
total aos sistemas vulneráveis, onde pode abusar de credencial administrativa, com 
a qual o banco de dados está sendo executado e realizar quaisquer atividades com 
máximos privilégios, como: Criar contas no sistema, instalar softwares, mudar 


senhas, realizar downloads e uploads de arquivos. Além de extrair dados do banco 
de dados. 


Criticidade 
Alta. 


Medidas 


Tratar todos os dados fornecidos por usuários que são posteriormente enviados ao 
banco de dados. 
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Mais informações podem ser obtidas no link do projeto OWASP, listado abaixo: 
http:/Anww.owasp.org/index.php/SQL Injection 


2.2 Reflected Cross-Site Scripting (XSS) 


Descrição 


Cross-Site Scripting é um tipo de vulnerabilidade em que scripts maliciosos são 
injetados no site de forma confiável em client-side. Cross-site Scripting ocorre 
quando um invasor utilza uma aplicação Web para enviar códigos maliciosos, 


geralmente na forma de um script para um outro utilizador final. 


Falhas desse tipo utilizam a entrada de um usuário na saída que ela gera, sem 
validação ou codificação. 


Nos testes realizados foram encontradas inúmeras entradas vulneráveis a Reflected 
Cross-Site Scripting (XSS). Conforme segue abaixo: 


2.2.1 http://www )0000000000xx. com.br 


URL: 
http://www .xxxxxxxxxxx.com.br/mostra texto.asp?nome texto=<script>alert(docume 
nt.cookie)<script> 
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€3/9) om ! rd [cos 





[B) Mais visitados [ | Primeiros passos (3) Últimas notícias (E) Programming from th... [5] Security Tools Benchm... | ] Web Applications 








ASPSESSIONIDOQRQADCB=NANJKLHDOIOJBMCOOJJMGCHA; ASPSESSIONIDSQTTCBCA=BPNBFBCAKNFAILINKIMLEAIO; 
ASPSESSIONIDSOTABCDA=EDOCMLCAKIMMDGKFDIINIKBI 


(aa) 


2.2.2 https://wwwJ0000xx.com.br/ 


URL: https://www.xxxxxxxxxxxx.com.br/nfaleconosco.asp?compraoff=sim&reg1 =” 
onmouseover=prompt(948758)adW%3d"&reg10=&reg2=&reg3=&reg4=&reg5=&reg6= 
&reg/=&reg8=&reg9=&regBtn= 
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Do v s4g758 
| Isso e um teste de Xx55!!1!] 


HOME COMO PARTICIPAR TROQUE SEUS 


Tire suas Dúvidas 


| | ASSINATURAS PENIDO 
CARTÃO IPIRANGA IPIRANGASHOPCOM Ca EDITORA ABRIL E RESPOSTAS 


Impacto 


Dentre as diversas possibilidades de exploração utilizando Cross-Site Scripting, 


algumas merecem destaque, são elas: 


e Um atacante pode criar uma URL com um script malicioso e abusando da 
credibilidade do site que é autêntico, enviá-la para uma vítima que poderá 


baixar e instalar o executável. 


e O atacante pode também através de scripts desconfigurar a página do site 
com mensagens e/ou imagens maliciosas que podem denegrir a imagem da 


instituição. 


e O atacante pode redirecionar a vítima para outro endereço malicioso. 
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e O atacante pode roubar a sessão de um usuário legitimo do sistema, que 


esteja previamente autenticado e realizar operações que o mesmo poderia. 
Criticidade 
Alta. 
Medidas 


Tratar todos os dados que são fornecidos pelos usuários e posteriormente são 
exibidos na tela, evitando que códigos Java Script e tags HTML sejam interpretados 
pelos navegadores dos clientes. 


Mais informações podem ser obtidas no link do projeto OWASP, listado abaixo: 
http:/Anww.owasp.org/index.php/XSS (Cross Site Scripting) Prevention Cheat Sh 


eet. 


2.3 Listagem de Diretórios 


Descrição 


Durante a análise, foram identificados servidores que permitiam a listagem de 


diretórios, como mostram as imagens abaixo: 


e https:/ANWw.xXXXxXxxxxxxx.com.br 


CONFIDENCIAL 


Teste de Intrusão Externo 





“al Esta página está em | inglês + | Deseja traduzi-la? | Traduzir | | Não | | Nunca traduzir do inglês | 


Index of/ 





E Name Last modified Size Description 








http server stvles.css 11-Jul-2008 16:16 1.0K 
O) images/ 11-Jul-2008 16:16  - 


index .html 11-Jul-2008 16:16 3.1K 


logs intra01.tar 23-Mar-2010 16:24 9.0M 





logs intra02.tar 23-Mar-2010 16:28 34M 


Impacto 


Um atacante pode navegar pelos diretórios e descobrir aplicativos/arquivos que não 
deveriam ser acessados. Como demonstrado acima, foi possível obter os logs da 


intranet. 
Criticidade 

Alta. 

Medidas 


Configurar o servidor web para não listar diretórios. 
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3 Conclusão 


O teste de intrusão realizado foi bastante elucidativo ao apresentar o nível de 
exposição a ataques que as aplicações estão sujeitas, demonstrando as 
possibilidades de um ataque. 


É importante ressaltar que diversas tentativas de exploração não foram bloqueadas 


por algum IPS ou Firewall. 


A Xxxxx se encontra a disposição para detalhar ainda mais os tipos de ataques 
efetuados e prestar auxílio em definições decorrentes das recomendações de 
controles que julgamos necessárias descrever neste relatório, incluindo ajuda em 
definição de escopo e de esforço médio de implantação destes controles, de acordo 


com o nosso expertise de mercado. 


